标签： 命令执行

苹果更新安全公告，新增三个漏洞

发布于 作者:

苹果更新安全公告，新增三个漏洞 Eduard Kovacs 代码卫士 2023-02-22 17:19 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周一，苹果公司更新了多份安全公告，新增iOS 和macOS 漏洞，其中包括几个新型漏洞。 iOS 16.3和macOS Ventura 13.2 安全公告，最初在1月23日发布，最近新增了三个漏洞。其中一个新增漏洞是CVE-2023-235

继续阅读

关于Joomla存在未授权访问漏洞的安全公告

发布于 作者:

关于Joomla存在未授权访问漏洞的安全公告 原创 CNVD CNVD漏洞平台 2023-02-22 15:57 安全公告编号:CNTA-2023-0005 2023年2月22日，国家信息安全漏洞共享平台（CNVD）收录了Joomla未授权访问漏洞（CNVD-2023-11024，对应CVE-2023-23752）。未经授权的攻击者可远程利用该漏洞获得服务器敏感信息。目前，该漏洞的利用细节和测试代

继续阅读

热门开源代理 HAProxy 修复HTTP请求伪造漏洞

发布于 作者:

热门开源代理 HAProxy 修复HTTP请求伪造漏洞 Ben Dickson 代码卫士 2023-02-21 17:55 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 热门的开源负载均衡器和反向代理 HAProxy 修复了一个漏洞，可导致攻击者发动HTTP请求走私攻击。攻击者可发送恶意构造的HTTP请求，绕过HAProxy的过滤器并获得对后端服务器的越权访问权限。 01 被释放的标头 H

继续阅读

Android 反序列化漏洞攻防史话

发布于 作者:

Android 反序列化漏洞攻防史话 原创 evilpan 有价值炮灰 2023-02-18 16:30 序列化和反序列化是指将内存数据结构转换为字节流，通过网络传输或者保存到磁盘，然后再将字节流恢复为内存对象的过程。在 Web 安全领域，出现过很多反序列化漏洞，比如 PHP 反序列化、Java 反序列化等。由于在反序列化的过程中触发了非预期的程序逻辑，从而被攻击者用精心构造的字节流触发并利用漏洞

继续阅读

CVE-2022-22583和CVE-2022-32800技术分析

发布于 作者:

CVE-2022-22583和CVE-2022-32800技术分析 gejigeji 嘶吼专业版 2023-02-15 12:00 我们会在本文详细介绍如何使用不同的方法利用CVE-2022-22583的技术细节。我们还在本报告中讨论了CVE-2022-32800的技术细节。 2022年1月26日，苹果公司修复了PackageKit框架中的系统完整性保护(SIP)绕过漏洞，该漏洞被识别为CVE-2

继续阅读

雷神众测漏洞周报2023.02.06-2023.02.12

发布于 作者:

雷神众测漏洞周报2023.02.06-2023.02.12 雷神众测 雷神众测 2023-02-13 15:11 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减

继续阅读

IBM WebSphere Application Server远程代码执行漏洞(CVE-2023-23477)安全风险通告

发布于 作者:

IBM WebSphere Application Server远程代码执行漏洞(CVE-2023-23477)安全风险通告 原创 QAX CERT 奇安信 CERT 2023-02-08 14:35 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 WebSphere 是 IBM 的软件平台。 它包含了编写、运行和监视全天候的工业强度的随需应变 W

继续阅读

F5 BIG-IP 高危漏洞可导致拒绝服务和代码执行

发布于 作者:

F5 BIG-IP 高危漏洞可导致拒绝服务和代码执行 Ionut Arghire 代码卫士 2023-02-03 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 F5 提醒称，BIG-IP 中存在一个高危格式化字符串漏洞 (CVE-2023-22374)，可导致认证攻击者触发拒绝服务条件并可能执行任意代码。 该漏洞影响一个公开的API即 iControl SOAP，该API用于赋

继续阅读

热门开源Dompdf PHP 库中存在严重漏洞

发布于 作者:

热门开源Dompdf PHP 库中存在严重漏洞 DO SON 代码卫士 2023-02-03 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 开源的Dompdf PHP库中存在一个高危漏洞 (CVE-2023-23924)，如遭利用，可导致攻击者在目标服务器上远程执行代码。 开发人员 Bsweeney 在安全公告中指出，“攻击者如果能够向dompdf 提供SVG文件，则可能利用该

继续阅读

微软Azure新漏洞可导致RCE，研究员获3万美元奖励

发布于 作者:

微软Azure新漏洞可导致RCE，研究员获3万美元奖励 Ravie Lakshmanan 代码卫士 2023-01-20 13:11 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 和微软Azure关联的多款服务中存在一个严重的远程代码 (RCE) 漏洞，可被恶意人员用于完全控制目标应用。 发现该漏洞的Ermetic 公司的研究员 Liv Matan 在报告中提到，“该漏洞是通过SCM服务K

继续阅读

CISA提醒注意西门子、通用数字和康泰克工控系统中的漏洞

发布于 作者:

CISA提醒注意西门子、通用数字和康泰克工控系统中的漏洞 Ravie Lakshmanan 代码卫士 2023-01-19 18:00 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全和基础设施安全局 (CISA) 发布四份工控安全公告，说明了影响西门子、通用数字 (GE Digital) 和日本康泰克 (Contec) 多款产品的安全漏洞。 其中最严重的漏洞是位于西门子SINE

继续阅读

厂商纷纷主动绕过Adobe发布的CVE-2022-24086安全补丁

发布于 作者:

厂商纷纷主动绕过Adobe发布的CVE-2022-24086安全补丁 Ionut Arghire 代码卫士 2023-01-19 18:00 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 电商安全公司 Sansec 提醒称，厂商和机构正在主动绕过Adobe 在2022年2月发布的CVE-2022-24086的安全补丁。该漏洞是位于Adobe Commerce 和 Magento 商店的严重

继续阅读

用 Goby 通过反序列化漏洞一键打入内存马【利用篇】

发布于 作者:

用 Goby 通过反序列化漏洞一键打入内存马【利用篇】 原创 su18 GobySec 2023-01-16 11:03 Goby社区第  22 篇技术分享文章 全文共： 3734 字   预计阅读时间： 10 分钟 01 前言**** 在上一篇 《  Shell 中的幽灵王者-JAVAWEB 内存马【认知篇】 》 中，我从理念上介绍了很多内存马的东西，并给出了我的判断： “大势所趋下，内存马技术

继续阅读

【安全圈】竟然不修复！思科企业路由器存在严重漏洞

发布于 作者:

【安全圈】竟然不修复！思科企业路由器存在严重漏洞 安全圈 2023-01-14 18:31 关键词 漏洞、思科 思科中小企业产品线RV016、RV042、RV042G和RV082路由器上的网页管理界面存在 严重漏洞 ，使得远程攻击者可以绕过身份验证，并在底层操作系统上执行任意命令。 但由于这些路由器生命周期已结束，思科表示不会发布新软件解决这些路由器上的漏洞。 思科这些RV系列中小企业路由器的所有

继续阅读

思科不打算修复SMB路由器中严重的认证绕过漏洞

发布于 作者:

思科不打算修复SMB路由器中严重的认证绕过漏洞 Tara Seals 代码卫士 2023-01-13 17:50 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 思科SMB路由器中存在两个严重的漏洞（CVE-2023-20025和CVE-2023-20026），可导致未认证攻击者完全控制目标设备，以root权限运行命令。遗憾的是，即使已存在在野PoC exploit，思科仍然不打算修复。 漏

继续阅读

【已复现】禅道项目管理系统远程命令执行漏洞安全风险通告

发布于 作者:

【已复现】禅道项目管理系统远程命令执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-13 10:32 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 禅道项目管理软件是国产的开源项目管理软件，专注研发项目管理，内置需求管理、任务管理、bug管理、缺陷管理、用例管理、计划发布等功能，完整覆盖了研发项目管理的核心流程。 近

继续阅读

CISA提醒注意日立能源产品中的多个高危漏洞

发布于 作者:

CISA提醒注意日立能源产品中的多个高危漏洞 Eduard Kovacs 代码卫士 2023-01-10 17:57 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全和基础设施安全局 (CISA) 上周发布多份安全公告，通知使用日立能源产品的组织机构称这些产品中存在多个高危和严重漏洞。 CISA发布三份公告，说明了日立能源三款产品中存在的多个漏洞。日立能源公司在12月发布了关于这

继续阅读

热门开源库 JsonWebToken 存在RCE漏洞，可引发供应链攻击

发布于 作者:

热门开源库 JsonWebToken 存在RCE漏洞，可引发供应链攻击 Bill Toulas 代码卫士 2023-01-10 17:57 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复

继续阅读

Fortinet FortiADC 命令注入漏洞(CVE-2022-39947)安全风险通告

发布于 作者:

Fortinet FortiADC 命令注入漏洞(CVE-2022-39947)安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-09 17:03 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Fortinet（飞塔）是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等

继续阅读

【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新

发布于 作者:

【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新 原创 QAX CERT 奇安信 CERT 2023-01-09 17:03 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建W

继续阅读

某达摄像头的漏洞挖掘经历

发布于 作者:

某达摄像头的漏洞挖掘经历 原创 狒猩橙 ChaMd5安全团队 2023-01-08 10:51 前言 在看了一位师傅的关于摄像头的文章之后，我也心血来潮找了一款摄像头（某达最新款CP7）固件去挖一下练练手。 串口获取shell 拿到摄像头拆下来之后尝试了一波串口获取shell。 image-20230103171820881 但是连上之后发现这个摄像头貌似无法获得一个正常的shell，只能用来看回

继续阅读

Zoho：立即修复这个严重的ManageEngine漏洞！

发布于 作者:

Zoho：立即修复这个严重的ManageEngine漏洞！ Sergiu Gatlan 代码卫士 2023-01-05 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Zoho 督促客户修复影响多款ManageEngine产品的一个严重漏洞。本周一，Zoho 公司提醒称，“该安全公告是为了告知大家，我们检测到了一个严重的安全漏洞。” 该漏洞的编号是CVE-2022-47523，是

继续阅读

丰田、奔驰、宝马等API漏洞暴露车主个人信息

发布于 作者:

丰田、奔驰、宝马等API漏洞暴露车主个人信息 Bill Toulas 代码卫士 2023-01-05 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 安全研究人员发现，近20家汽车制造商和服务中包含API漏洞，可使黑客执行恶意活动如解锁车门、启动汽车并追踪车辆，暴露客户的个人信息。这些漏洞影响多家知名车厂，包括宝马、劳斯莱斯、奔驰、法拉利、保时捷、捷豹、路虎、福特、起亚、本田、英

继续阅读